Powershell का उपयोग करके लॉग डिलीट करने के लिए फ़ाइल विलोपन और एक्सेस और ईवेंट को ऑडिट करना

मुझे लगता है कि कई लोगों ने आपके सामने आने पर समस्या का सामना किया और पूछा: "हमारे पास एक साझा संसाधन पर एक फ़ाइल गायब है, यह चला गया था, ऐसा लगता है कि किसी ने इसे हटा दिया है, क्या आप यह जांच कर सकते हैं कि यह किसने किया?" आपके पास समय नहीं है, सबसे खराब रूप से लॉग में इस फ़ाइल का उल्लेख करने का प्रयास करें। और जब फ़ाइल सर्वर पर फ़ाइल ऑडिट चालू होता है, तो वहां लॉग, इसे हल्के ढंग से डालने के लिए, "बहुत बड़े होते हैं," और वहां कुछ ढूंढना अवास्तविक है।
यहाँ मैं इस तरह के एक और सवाल के बाद (ठीक है, बैकअप दिन में कई बार किया जाता है) और मेरा जवाब है कि: "मुझे नहीं पता कि यह किसने किया है, लेकिन मैं आपके लिए फ़ाइल को पुनर्स्थापित करूंगा", मैंने फैसला किया कि यह मौलिक रूप से उपयुक्त नहीं है ...

चलिए शुरू करते हैं।

शुरू करने के लिए, समूह नीतियों के लिए फ़ाइलों और फ़ोल्डरों तक पहुंच को ऑडिट करने की क्षमता सक्षम करें।
स्थानीय सुरक्षा नीतियां-> उन्नत सुरक्षा नीति कॉन्फ़िगरेशन-> ऑब्जेक्ट एक्सेस
सफलता और असफलता के लिए "फाइल सिस्टम का ऑडिट करें" चालू करें।
उसके बाद, हमें उन फ़ोल्डरों के लिए एक ऑडिट कॉन्फ़िगर करना होगा जो हमें चाहिए।
फ़ाइल सर्वर पर साझा किए गए फ़ोल्डर के गुणों पर जाएं, "सुरक्षा" टैब पर जाएं, "उन्नत" पर क्लिक करें, "ऑडिट" टैब पर जाएं, "बदलें" और "जोड़ें" पर क्लिक करें। हम उन उपयोगकर्ताओं का चयन करते हैं जिनके लिए ऑडिट करना है। मैं "सब कुछ" चुनने की सलाह देता हूं, अन्यथा इसका कोई मतलब नहीं है। अनुप्रयोग स्तर "इस फ़ोल्डर और उसके सबफ़ोल्डर्स और फ़ाइलों के लिए।"
हम उन कार्यों को चुनते हैं जिन पर हम एक ऑडिट का संचालन करना चाहते हैं। मैंने "फाइल्स / रिकवर डेटा बनाएँ" सक्सेस / फेल्योर, "फोल्डर्स / रिकवर डेटा बनाएँ" सक्सेस / फेल्योर, सबफ़ोल्डर्स और फाइल्स को डिलीट करें और सिर्फ डिलीट करें, सक्सेस / फेल्योर पर भी।
ओके पर क्लिक करें। हम सभी फाइलों पर ऑडिट नीतियों को लागू करने के लिए तत्पर हैं। उसके बाद, सुरक्षा इवेंट लॉग में बहुत सारी फ़ाइल और फ़ोल्डर एक्सेस इवेंट दिखाई देंगे। घटनाओं की संख्या एक साझा संसाधन के साथ काम करने वाले उपयोगकर्ताओं की संख्या के लिए सीधे आनुपातिक है, और निश्चित रूप से, उपयोग की गतिविधि से।

इसलिए, हमारे पास पहले से ही लॉग में डेटा है, यह केवल उन्हें वहां से बाहर खींचने के लिए बना हुआ है, और केवल उन लोगों के लिए जो हमें बिना ब्याज के "वाटर" कहते हैं। उसके बाद, हम ध्यान से टैब के साथ डेटा को अलग करके लाइन द्वारा अपने डेटा को टेक्स्ट फ़ाइल लाइन में डाल देंगे, ताकि, उदाहरण के लिए, भविष्य में, उन्हें एक स्प्रेडशीट संपादक के साथ खोलें।

# ,         ,     .    - 1 . ..      . $time = (get-date) - (new-timespan -min 60) #$BodyL -     - $BodyL = "" #$Body - ,        ID. $Body = Get-WinEvent -FilterHashtable @{LogName="Security";ID=4663;StartTime=$Time}|where{ ([xml]$_.ToXml()).Event.EventData.Data |where {$_.name -eq "ObjectName"}|where {($_.'#text') -notmatch ".*tmp"} |where {($_.'#text') -notmatch ".*~lock*"}|where {($_.'#text') -notmatch ".*~$*"}} |select TimeCreated, @{n="_";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "ObjectName"} | %{$_.'#text'}}},@{n="_";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "SubjectUserName"} | %{$_.'#text'}}} |sort TimeCreated #         (   , : Secret) foreach ($bod in $body){ if ($Body -match ".*Secret*"){ # ,     $BodyL    : ,   ,  .  #       ,         .   #  ,   $BodyL            . $BodyL=$BodyL+$Bod.TimeCreated+"`t"+$Bod._+"`t"+$Bod._+"`n" } } #..      (      ),     # .   -  .      AccessFile  : , , . $Day = $time.day $Month = $Time.Month $Year = $Time.Year $name = "AccessFile-"+$Day+"-"+$Month+"-"+$Year+".txt" $Outfile = "\serverServerLogFilesAccessFileLog"+$name #          -. $BodyL | out-file $Outfile -append 

और अब एक बहुत ही दिलचस्प स्क्रिप्ट।

स्क्रिप्ट हटाई गई फ़ाइलों के बारे में एक लॉग लिखता है।

 # $Time         . $time = (get-date) - (new-timespan -min 60) #$Events -         ID=4660.     . #!!!!  !!!      2 ,  ID=4660  ID=4663. $Events = Get-WinEvent -FilterHashtable @{LogName="Security";ID=4660;StartTime=$time} | Select TimeCreated,@{n="";e={([xml]$_.ToXml()).Event.System.EventRecordID}} |sort  #   .   ,   . $BodyL = "" $TimeSpan = new-TimeSpan -sec 1 foreach($event in $events){ $PrevEvent = $Event. $PrevEvent = $PrevEvent - 1 $TimeEvent = $Event.TimeCreated $TimeEventEnd = $TimeEvent+$TimeSpan $TimeEventStart = $TimeEvent- (new-timespan -sec 1) $Body = Get-WinEvent -FilterHashtable @{LogName="Security";ID=4663;StartTime=$TimeEventStart;EndTime=$TimeEventEnd} |where {([xml]$_.ToXml()).Event.System.EventRecordID -match "$PrevEvent"}|where{ ([xml]$_.ToXml()).Event.EventData.Data |where {$_.name -eq "ObjectName"}|where {($_.'#text') -notmatch ".*tmp"} |where {($_.'#text') -notmatch ".*~lock*"}|where {($_.'#text') -notmatch ".*~$*"}} |select TimeCreated, @{n="_";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "ObjectName"} | %{$_.'#text'}}},@{n="_";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "SubjectUserName"} | %{$_.'#text'}}} if ($Body -match ".*Secret*"){ $BodyL=$BodyL+$Body.TimeCreated+"`t"+$Body._+"`t"+$Body._+"`n" } } $Month = $Time.Month $Year = $Time.Year $name = "DeletedFiles-"+$Month+"-"+$Year+".txt" $Outfile = "\serverServerLogFilesDeletedFilesLog"+$name $BodyL | out-file $Outfile -append 

जैसा कि यह पता चला है, जब फ़ाइलों को हटाने और वर्णनकर्ताओं को हटाने के लिए, आईडी = 4663 के तहत लॉग में एक ही घटना बनाई जाती है। उसी समय, संदेश निकाय में "एक्सेस ऑपरेशंस" के विभिन्न मूल्य हो सकते हैं: डेटा रिकॉर्डिंग (या फ़ाइल जोड़ना), DELETE , आदि।
बेशक, हम DELETE ऑपरेशन में रुचि रखते हैं। लेकिन यह सब नहीं है। सबसे दिलचस्प बात यह है कि, फ़ाइल के सामान्य नामकरण के दौरान, ID 4663 के साथ 2 ईवेंट बनाए जाते हैं, पहला एक्सेस ऑपरेशन: DELETE और दूसरा ऑपरेशन के साथ: डेटा लिखना (या फ़ाइल जोड़ना)। इसलिए यदि आप सिर्फ 4663 का चयन करते हैं, तो हमारे पास बहुत सारी गलत जानकारी होगी: जहां फाइलें चलेंगी, दोनों को हटा दिया जाएगा और बस नाम बदल दिया जाएगा।
हालांकि, मैंने देखा कि जब फ़ाइल को स्पष्ट रूप से हटा दिया जाता है, तो आईडी 4660 के साथ एक और घटना बनाई जाती है, जिसमें, यदि आप संदेश बॉडी की सावधानीपूर्वक जांच करते हैं, तो इसमें उपयोगकर्ता नाम और बहुत अधिक सेवा जानकारी होती है, लेकिन फ़ाइल नाम नहीं है। लेकिन एक डिस्क्रिप्टर कोड है।

हालाँकि, इस ईवेंट से पहले का ईवेंट इवेंट ID 4663 था। जहां बिल्कुल फ़ाइल का नाम, उपयोगकर्ता नाम और समय, और ऑपरेशन सभी समान DELETE हैं। और सबसे महत्वपूर्ण बात, एक हैंडल नंबर है जो ऊपर की घटना से हैंडल नंबर से मेल खाती है (4660, याद रखें? जो तब बनाया जाता है जब फ़ाइल स्पष्ट रूप से हटा दी जाती है)। तो अब, यह जानने के लिए कि कौन सी फाइलें हटाई गई हैं, आपको बस आईडी 4660 के साथ सभी घटनाओं को खोजने की जरूरत है, साथ ही प्रत्येक घटना से पहले, कोड 4663 के साथ एक घटना, जिसमें वांछित विवरणक की संख्या होगी।

ये 2 ईवेंट एक साथ जेनरेट किए जाते हैं, जब फ़ाइल को डिलीट किया जाता है, लेकिन क्रमिक रूप से रिकॉर्ड किया जाता है, पहले 4663, फिर 4660। इस मामले में, उनके सीरियल नंबर एक से भिन्न होते हैं। 4660 में एक सीरियल नंबर 4663 से अधिक है।
यह इस संपत्ति से है कि वांछित घटना मांगी जाती है।


यानी आईडी 4660 के साथ सभी घटनाओं को लिया जाता है। वे 2 गुण, निर्माण समय और क्रम संख्या लेते हैं।
फिर, एक लूप में, प्रत्येक घटना 4660 को एक बार में लिया जाता है। इसके गुण, समय और क्रम संख्या का चयन किया जाता है।
अगला, $ PrevEvent वैरिएबल हमें उस इवेंट की संख्या के साथ दर्ज किया गया है, जिसमें डिलीट की गई फाइल के बारे में आवश्यक जानकारी है। और समय सीमा भी निर्धारित की जाती है, जिसमें इस घटना के लिए एक विशिष्ट सीरियल नंबर के साथ खोज करना आवश्यक है (उसी के साथ हमने $ PrevEvent में प्रवेश किया)। क्योंकि एक घटना लगभग एक साथ उत्पन्न होती है, फिर खोज 2 सेकंड तक कम हो जाएगी: + - 1 सेकंड।
(हां, यह +1 सेकंड और -1 सेकंड, क्यों वास्तव में, मैं नहीं कह सकता, यह प्रयोगात्मक रूप से पाया गया था, यदि आप एक सेकंड नहीं जोड़ते हैं, तो आपको कुछ नहीं मिल सकता है, शायद इस तथ्य के कारण कि ये दो घटनाएं एक से पहले एक उत्पन्न हो सकती हैं बाद में और इसके विपरीत)।
मैं तुरंत एक आरक्षण कर दूंगा कि एक घंटे के भीतर सभी घटनाओं के लिए केवल सीरियल नंबर से खोज करने के लिए यह बहुत लंबा समय है, क्योंकि सीरियल नंबर घटना के शरीर में है, और इसे निर्धारित करने के लिए, आपको प्रत्येक घटना को पार्स करने की आवश्यकता है - यह बहुत लंबा समय है। यही कारण है कि 2 सेकंड की इतनी छोटी अवधि की आवश्यकता है (4660 घटना से + -1 सेकंड, याद रखें?)।
यह इस समय अवधि में है कि आवश्यक अनुक्रम संख्या के साथ घटना की खोज की जाती है।
यह पाए जाने के बाद, फ़िल्टर काम करते हैं:

 |where{ ([xml]$_.ToXml()).Event.EventData.Data |where {$_.name -eq "ObjectName"}|where {($_.'#text') -notmatch ".*tmp"} |where {($_.'#text') -notmatch ".*~lock*"}|where {($_.'#text') -notmatch ".*~$*"}} 

यानी हम हटाई गई अस्थायी फ़ाइलों (। * Tmp), MS Office दस्तावेज़ लॉक फ़ाइलों (। * लॉक) और MS Office अस्थायी फ़ाइलों (* ~ $ *) के बारे में जानकारी रिकॉर्ड नहीं करते हैं।
उसी तरह, हम इस घटना से आवश्यक फ़ील्ड लेते हैं, और उन्हें $ बॉडीएल चर में लिखते हैं।
सभी घटनाओं को खोजने के बाद, लॉग की पाठ फ़ाइल में $ बॉडीएल लिखें।

हटाए गए फ़ाइलों के लॉग के लिए, मैं योजना का उपयोग करता हूं: एक महीने के लिए एक फ़ाइल जिसमें महीने की संख्या और वर्ष शामिल हैं)। क्योंकि हटाए गए फ़ाइल एक्सेस की गई फ़ाइलों की तुलना में कई गुना छोटी हैं।

परिणामस्वरूप, सत्य की खोज में लॉग के अंतहीन "खुदाई" के बजाय, आप किसी भी स्प्रेडशीट संपादक के साथ लॉग फ़ाइल खोल सकते हैं और उपयोगकर्ता या फ़ाइल द्वारा आवश्यक डेटा देख सकते हैं।

सिफारिशें

आपको अपने लिए उस समय को निर्धारित करना होगा जिसके दौरान आप आवश्यक घटनाओं की तलाश करेंगे। जितनी लंबी अवधि, उतनी लंबी खोज। यह सब सर्वर के प्रदर्शन पर निर्भर करता है। यदि कमजोर है - तो 10 मिनट से शुरू करें। देखो कितनी तेजी से काम करता है। यदि 10 मिनट से अधिक समय हो जाता है, तो या तो फिर से बढ़ेगा, यह अचानक मदद करेगा, या इसके विपरीत अवधि को 5 मिनट तक कम कर देगा।

आपके द्वारा समय अवधि निर्धारित करने के बाद। इस स्क्रिप्ट को कार्य शेड्यूलर में रखें और इंगित करें कि आपको इस स्क्रिप्ट को प्रत्येक 5.10.60 मिनट (स्क्रिप्ट में निर्दिष्ट अवधि के आधार पर) चलाने की आवश्यकता है। मैंने इसे हर 60 मिनट में इंगित किया है। $ समय = (प्राप्त-तिथि) - (नया-समय -मिन 60) ।

पुनश्च

ये दोनों स्क्रिप्ट मेरे लिए 100GB के नेटवर्क संसाधन के लिए काम करते हैं, जिस पर औसतन 50 उपयोगकर्ता सक्रिय रूप से दैनिक काम करते हैं।
प्रति घंटे हटाई गई फ़ाइलों के लिए खोज समय 10-15 मिनट है।
सभी फ़ाइलों के लिए खोज का समय उपलब्ध था जो 3 से 10 मिनट तक है। सर्वर पर लोड के आधार पर।